Disponibilidade, Live DR, backup e cofre.
Os três níveis de disponibilidade, os padrões de continuidade com seus RPO e RTO, como o Live DR é comprovado e testado, a política de backup por ambiente, a retenção de longo prazo e o cofre isolado da internet.
Níveis de disponibilidade (produção, padrão proposto)
| Nível | Disponibilidade | O que é isso? |
|---|---|---|
| Padrão | 99,7% | Banco de dados de alta disponibilidade (HA) multizona com backups isolados da internet (air-gapped). |
| Live DR | 99,9% | Uma segunda região em funcionamento. |
| Live DR | 99,95% | Trânsito em ambas as regiões, resposta prioritária 24 horas por dia, 7 dias por semana. |
Disponibilidade para uso fora de produção: 95%. Medido mensalmente no ponto de entrada do TRANXACT, excluindo a janela de manutenção acordada. Os SLAs dos provedores de nuvem estão subordinados ao compromisso único do TRANXACT.
Defina o nível de infraestrutura antes de dimensionar. O Live DR utiliza uma segunda região completa, o que praticamente dobra o custo da infraestrutura em tempo de execução. Mostre-a como uma linha separada, considerando o custo de inatividade que ela elimina, e mantenha os sistemas integrados de terceiros no mesmo nível.
Eventos planejados e não planejados
| Evento | O que acontece | Isso viola o SLA? |
|---|---|---|
| Planejado — atualizações, redimensionamentos, exercícios | Atualizações contínuas em três nós mantêm os usuários trabalhando. O tempo de inatividade ocorre apenas no período mensal (proposto para 4 horas). | Não, dentro do período acordado. |
| Falha não planejada na região — nó, pod ou zona | Pods reprogramados; o banco de dados realiza failover para seu standby síncrono. RPO ≈ 0, recuperação em minutos. | Somente se a meta de nível não for atingida. |
| Não planejado, em toda a região. | Com o Live DR, a réplica é promovida e o gerenciador de tráfego move as gravações. RPO em segundos, RTO ≤ 15 minutos (proposto). | De acordo com o nível. |
Padrões de continuidade
| Padrão | RPO / RTO | Nó | DB | Zona | Região | Ransomware |
|---|---|---|---|---|---|---|
| HA padrão (99,7%) | Zona: RPO ≈ 0. Região: restaurar do cofre. | Sim | Sim | Sim | Não | Sim |
| Live DR (99,9%) | RPO segundos, RTO ≤ 15 min | Sim | Sim | Sim | Sim | Sim |
| Live DR Premium (99,95%) | RPO em segundos, RTO ≤ 5 min | Sim | Sim | Sim | Sim | Sim |
| Recuperação de desastres passiva (SaaS típico) — não oferecida | Minutos-horas RPO, horas RTO | Sim | Sim | Sim | Incerto | Não |
O ambiente de recuperação Live DR não é um ambiente de espera passivo. A segunda região executa um cluster completo e um banco de dados com replicação contínua, atendendo a leituras em tempo real, relatórios, consultas ASK e postagens sintéticas. Sua integridade é verificada a cada minuto, e o failover é uma prática comum — nada é escalado ou restaurado.
As integrações devem tolerar a promoção automática de escrita e reproduzir qualquer mensagem publicada nos últimos segundos antes de uma falha. Os endpoints dos parceiros devem seguir o gerenciador de tráfego (TO_4.10.09, Excluído).
Provando Live DR
| Teste | O que acontece | Impacto nos negócios | Freqüência | Categoria | Descanso e relaxamento |
|---|---|---|---|---|---|
| Verificação contínua | Lançamentos sintéticos, alertas de atraso de replicação, soma de verificação do livro-razão entre regiões | Nenhum | A cada minuto | Padrão | TO_4.10.01 |
| Simulação de transição planejada | Anunciar → pausar gravações (segundos) → promover DR → redirecionar tráfego → verificar livro-razão → executar a partir do DR. Troca de funções. | A escrita foi pausada por alguns segundos. | Trimestral | Padrão | TO_4.10.03 |
| Exercício adicional de transição | Conforme mencionado acima, fora do plano trimestral. | A escrita foi pausada por alguns segundos. | Sob encomenda, com 2 semanas de antecedência. | Adicional | TO_4.10.04 |
| treino isolado (cercado) | Uma cópia clonada da réplica de recuperação de desastres com integrações de saída desativadas; testes destrutivos permitidos. | Nenhum em produção | Sob encomenda, com 2 semanas de antecedência. | Adicional | TO_4.10.05 |
| Teste de restauração de sala limpa | Restaurar do cofre para um ambiente isolado, verificar e reconciliar. | Nenhum em produção | Anual | Padrão | TO_4.9.07 |
| Validação comercial de um modelo de negócios | O cliente confirma os processos e integrações após a transição. | Esforço do cliente | Cada exercício | Excluído | TO_4.10.06 |
Após um teste, não há reconstrução: o servidor primário antigo torna-se o Live DR. As leituras nunca param.
Execute o primeiro teste de transição e uma restauração em ambiente controlado antes da entrada em produção. Ambos são etapas importantes para a entrada em produção, e cada teste subsequente serve como evidência para auditorias e revisão do SLA.
Política de backup (padrão proposto)
| Banco de dados de produção | Documentos de produção | Banco de dados não produtivo | Documentos não relacionados à produção | |
|---|---|---|---|---|
| Freqüência | Captura instantânea diária + registros contínuos | Versionamento contínuo | Resumo diário | Versionamento contínuo |
| Recuperação pontual | Qualquer ponto no período de retenção | Restauração de versão | Última foto | Restauração de versão |
| retenção operacional | 30 dias | 30 dias (versões) | 14 dias | 14 dias |
| Cópia do cofre | Diário, imutável | Diário, imutável | Semanal, imutável | Opcional |
| retenção de cofre | 90 dias (prorrogáveis) | 90 dias (prorrogáveis) | 30 dias | 30 dias |
| Criptografia | Em repouso e em trânsito; chaves do cofre mantidas separadamente. | Em repouso e em trânsito | Em repouso e em trânsito | Em repouso e em trânsito |
Os manifestos e a configuração do Kubernetes residem na infraestrutura como código, sendo também copiados para o vault — portanto, o ambiente de execução é reconstruído, não restaurado.
Restaura
| Restaurar | Categoria | Tempo de espera | Descanso e relaxamento |
|---|---|---|---|
| Backup sob demanda antes de uma mudança importante. | Padrão, solicitação de serviço | Horas | TO_4.9.04 |
| Restauração pontual | Padrão, solicitação de serviço | Horas; P1 imediatamente | TO_4.9.05 |
| Restauração em sala limpa a partir do cofre | Taxa adicional por entrega. | Horas | TO_4.9.06 |
| Aprovação comercial dos dados restaurados | Excluído — o controlador financeiro | — | TO_4.9.11 |
A abóbada com espaço de ar
- Uma conta ou locatário de nuvem separado, com identidades, autenticação multifator (MFA) e chaves distintas.
- Não há caminho de rede de entrada da produção. A produção envia dados em uma única direção por meio de uma função somente de gravação, sem permissões de leitura ou exclusão.
- Um bloqueio de retenção de gravação única (WORM): as cópias não podem ser alteradas ou excluídas, nem mesmo por administradores.
- A exclusão requer dupla aprovação; a integridade é verificada na chegada.
- Os arquivos restaurados passam por um processo de sala limpa, onde são escaneados, reconciliados e, em seguida, promovidos, nunca sendo colocados diretamente sobre a produção.
- Uma cópia offline opcional para uma segunda nuvem ou armazenamento frio, desconectada periodicamente (TO_4.9.09, Opcional).
Por que existe: replicação e recuperação de Live DR em caso de corrupção instantânea. Ransomware ou dados corrompidos também são replicados. O cofre mantém um histórico limpo e imutável fora de ambas as regiões.
Definam quem detém as credenciais de abertura do cofre. A TRANXACT opera o procedimento de dupla aprovação (TO_4.9.12); o cliente designa seus aprovadores (TO_4.9.13, Excluído).
Retenção a longo prazo (Opcional)
| Opção | Freqüência | Retenção | Métrica | Bloquear | Categoria |
|---|---|---|---|---|---|
| Cópia de arquivo mensal | Mensal | 1 ano | Gigabyte | 256 GB | Opcional |
| Cópia de arquivo trimestral | Trimestral | 1 ano | Gigabyte | 256 GB | Opcional |
| cópia de arquivo de fim de ano | Anualmente, após o fechamento | 2, 3 ou 4 anos | Gigabyte | 256 GB | Opcional |
| Cópia offline | Periódico | De acordo com a política do cliente | Gigabyte | 256 GB | Opcional |
| Retenção legal de uma cópia | A pedido | Até ser lançado | A pedido | — | Adicional |
Uma vez definido, o período de retenção não pode ser reduzido. Se as regras de auditoria ou de retenção legal exigirem um período de retenção mais longo, estenda-o antecipadamente — e dimensione-o com base no crescimento do livro-razão e no volume de documentos, não no tamanho atual do banco de dados.
Os valores marcados como padrão proposto são os pontos de partida recomendados no guia de implementação. Confirme cada um deles para cada cliente; o contrato, o formulário de pedido, o SLA e o DPA prevalecem sobre esta página.